證明「我符合資格」，為什麼一定要先告訴你我是誰？歐洲正把數位身分拆成最小必要資訊

# 證明「我符合資格」，為什麼一定要先告訴你我是誰？歐洲正把數位身分拆成最小必要資訊

數位身分的關鍵不是「更完整」，而是「更少揭露」

多數人一想到數位身分，就會想到把身分證、駕照、健保卡、學生證、資格證明全部放進手機。這種想像很直觀，卻可能錯過下一代身分技術最重要的方向：不是把更多資料搬上雲端，而是在每一次服務交易中，只揭露最小必要資訊。你去證明自己符合資格時，很多時候服務端不需要知道你是誰，只需要知道某個條件是否成立。

歐盟 2026 年推動的年齡驗證與 European Digital Identity Wallet，正好把這個問題推到前台。歐盟年齡驗證方案在 2026 年 4 月達到 feature-ready，政策方向是讓使用者能證明「我已達某年齡門檻」，而不是把姓名、生日、證件號碼與完整身分資料交給網站。Commission Recommendation (EU) 2026/1035 明確要求年齡驗證至少支援 selective disclosure，並預設只回覆所要求年齡條件的 true／false 結果；零知識證明等更進一步的隱私技術則可在 W3C Verifiable Credentials 2.0 的標準脈絡中理解。

selective disclosure 改變公共服務的提問方式

傳統行政流程常用一種粗糙邏輯：既然要審查資格，就要求民眾交出完整文件。申請補助要戶籍謄本，申請優惠要身分證影本，進入某些服務要生日、地址、電話、證號全填。可是這些欄位並非總是必要。真正需要驗證的可能只是「是否成年」「是否居住於某行政區」「是否具某項資格」「是否已通過某訓練」「是否屬於某可申請範圍」。

Selective disclosure 的價值，是讓完整憑證不必完整曝光。W3C Verifiable Credentials 2.0 也把可驗證憑證、選擇性揭露與組合式呈現放進標準架構。這不只是技術細節，而是公共服務思維的改變：服務端必須重新問自己，我真正需要知道的是哪一個最小事實？我是否可以只收到「成立／不成立」，而不是取得整份個人資料？

零知識證明不是魔法，但能讓「驗證」和「揭露」分開

零知識證明常被說得很神秘。用公共服務語言來說，它的核心就是讓一方能證明某個敘述為真，而不揭露支撐該敘述的所有原始資料。例如，證明使用者已滿 18 歲，不必交出完整出生年月日；證明某資格有效，不必揭露整份證書所有欄位。它不能自動解決所有治理問題，但可以把過去綁在一起的兩件事拆開：驗證資格，不等於取得完整身分。

歐盟數位身分錢包的安全與隱私說明，也強調選擇性揭露、資料最小化、隱私儀表板與認證要求。ENISA 2026 年也參與 EU Digital Wallets 認證推動，顯示這不只是 App 功能，而是涉及國家級信任基礎設施、資安標準與跨境互通。

對原鄉公共服務，這既是機會也是風險

如果把這套概念放到台灣原鄉，最直接的機會是減少重複繳件與過度蒐集。居民申請交通、農業、社福、教育或災害救助時，常在不同機關重複提交相似文件。若未來能用可驗證憑證證明資格，公所可能只需收到必要判斷結果，減少紙本影本、個資外流與行政負擔。

但風險也非常明顯。族群、部落、親屬、土地、文化角色與祭儀資格，不能被簡化成普通 Boolean 欄位。不是所有身分都適合放進錢包，不是所有資格都應該讓外部平台查驗，更不是所有文化關係都能被行政系統標準化。若數位身分設計只追求效率，可能把非常敏感的社群關係變成可被平台要求、可被商業化、可被跨域連結的資料。

資料主權要求「不該問的就不要問」

原住民族資料治理提醒我們，個資保護不只是一個人的隱私，也可能涉及集體知識、社群關係與文化安全。歐盟的資料最小化原則提供一個很好的技術方向，但放到原住民族脈絡時還要再往前問：哪些憑證根本不該由外部機構要求？哪些資訊只能在社群內驗證？哪些資格需要長老、家族、部落會議或傳統制度判斷，而不能由外部 API 回傳？

因此最好的數位身分治理，不只是讓使用者少交資料，而是讓社群和第一線承辦人共同決定資料需求邊界。服務端不能因為錢包能存，就要求更多；平台不能因為可以驗證，就擴大使用目的；政府不能因為數位化，就把文化身分變成可搬移、可再利用的行政屬性。

下一代公共服務要學會克制

數位身分的成熟，不在於它收納多少證件，而在於它能不能克制。對公共服務而言，最好的設計也許不是「一次蒐集，以後方便」，而是「一次服務，只問必要」。對原鄉治理而言，這種克制更重要：它能減少資料外洩，也能避免文化身分被外部系統誤用。

當歐洲把年齡驗證做成「只證明超過 18 歲」的方向，真正值得我們借鏡的不是 App 介面，而是提問方式的改變。證明我符合資格，為什麼一定要先告訴你我是誰？這個問題若能進入每一個公所表單、每一個補助系統、每一個平台登入頁，數位治理才算真的往隱私與尊嚴前進。

歐盟年齡驗證的示範價值，在於把「證明資格」和「交出身分」拆開

歐盟 2026 年推進的年齡驗證方案已在 4 月達到 feature-ready，並鼓勵會員國部署或整合進 European Digital Identity Wallet。更關鍵的是 Commission Recommendation (EU) 2026/1035 對隱私保護的要求：年齡驗證至少應支援 selective disclosure，而且預設只把依賴方所要求的年齡條件回覆成 true／false，不另外提供更多公民資訊。這種設計等於把一個常見但長期被忽略的問題寫進政策：網站真正需要知道的，是「你是否達到門檻」，還是「你的完整出生日期、姓名與身分證件」？

這個差別看似小，卻會直接改變資料風險。完整生日一旦交給多個網站，就能和其他資料結合做追蹤、推測與身分連結；只傳回「已滿 18 歲」則把可被濫用的資訊量壓到最低。當然，這不表示 true／false 回覆天然匿名，裝置識別、網路紀錄、帳號與其他 metadata 仍可能造成關聯，因此 privacy-preserving identity 的下一關是降低跨服務可連結性，而不是只把欄位變少。

Verifiable Credentials 2.0 把「持有人選擇揭露哪些屬性」變成標準能力

W3C 在 2025 年將 Verifiable Credentials 2.0 發布為 Web 標準，核心信任關係仍由 issuer、holder、verifier 三方構成，但持有人可以向驗證方呈現憑證的一部分，而不必把完整憑證全部交出去。Data Model 2.0 也討論 selective disclosure、零知識證明與降低 correlation 的方法。這種架構的政策意義，是服務提供者不能再把「技術上可以取得」當成「業務上有必要取得」。

例如補助申請可能只需要證明居住於某行政區與符合年齡範圍；教育優惠可能只需要證明學生資格仍有效；某些專業服務只需要知道證照未過期。若憑證系統能產生最小化呈現，公所或平台就不必保存整張證件影本。資料庫裡少一份完整證件，不只降低外洩風險，也減少承辦人不必要地接觸敏感資訊。

但「選擇性揭露」若沒有請求端限制，仍可能變成選擇性強迫

隱私技術常把焦點放在使用者能不能按「同意」，卻忽略服務端可以提出什麼要求。若每個網站都要求五個屬性，使用者雖然形式上逐項同意，實際上仍可能因不接受就無法取得服務。因此成熟的錢包治理除了 holder control，還需要 relying-party control：哪些類型的服務可以要求哪些屬性、請求目的是否清楚、是否能被稽核、是否有替代流程，以及要求超出必要範圍時能否被系統或監理機關阻擋。

這也是 ENISA 推動 EUDI Wallet 認證的重要背景。錢包不是一般 App，而是信任基礎設施；安全性、身分驗證、密鑰保護與跨境互通都需要可驗證的制度。對地方政府而言，未來採用數位憑證也不能只問「能不能串 API」，還要問依賴方是否經過認證、請求是否留有紀錄、憑證撤銷與失竊如何處理、離線或手機遺失時是否有不歧視民眾的替代程序。

原住民族身分特別提醒我們：不是所有資格都適合被做成 Boolean

數位身分系統很擅長回答 yes／no，但社會身分不一定是單一欄位。族群認同、部落成員關係、親屬責任、傳統領域權利、文化角色與祭儀資格，可能牽涉法律認定、社群承認、家族關係與具體情境。若外部系統把它們簡化成「isIndigenous=true」或「tribe=X」，不只可能失真，也會創造新的資料連結與歧視風險。

因此，原住民族資料治理需要比一般 data minimization 再多一層：除了問個人願不願意揭露，也要問社群是否認為某種屬性可以由外部憑證化、由誰有權簽發、哪些使用目的不被允許、驗證結果能否被保存，以及哪些文化關係根本不應離開社群治理範圍。有些資格也許適合使用可驗證憑證，有些則應維持由部落、家族或傳統制度在特定情境中判斷，不必為了數位化而強迫標準化。

鄉公所可以先從「欄位減量」開始，而不是等待全國錢包建好

即使台灣尚未全面採用類似 EUDI Wallet 的架構，地方公共服務今天就能做一件事：逐張檢查表單，區分「依法必要」「業務方便」「歷史沿用」三類欄位。凡是只是因為過去紙本表格有、承辦人習慣看、或資訊系統順手收集的欄位，都應重新證明必要性。若只需知道資格是否成立，就不要保存完整證件；若跨機關可以透過受控查驗取得結果，就不必要求民眾重複影印。

下一步則是建立最小揭露的服務原型：挑一項低風險補助或優惠，明確列出所需屬性、保存期限、誰可查閱、申訴方式與紙本替代流程，再做小規模測試。評估指標不只看申請速度，也要看收集欄位是否真的變少、資料保存是否縮短、民眾是否理解自己揭露了什麼，以及拒絕使用數位錢包的人是否仍能公平取得服務。

真正成熟的數位身分，不是認得每一個人，而是知道什麼時候不必認人

數位治理常把「識別更精準」當成進步，但公共服務需要的是目的適合性。某些服務確實必須知道完整身分，例如高風險金融交易或法定權利登記；另一些場景只需驗證年齡、資格或有效狀態。把這兩者分開，才能避免所有服務都走向過度識別。

因此，數位身分下一階段最值得追求的能力不是「一個錢包裝下人生」，而是每一次交易都能縮到最少。技術提供 selective disclosure、可驗證憑證與零知識證明等工具；法律與公共治理則必須回答誰可以問、為何要問、能保存多久、能否再利用。對原鄉服務更要加上一個問題：哪些身分資訊不是政府或平台可以自行定義的欄位。當系統學會克制，便利才不會用隱私與文化安全交換。

主要參考來源

• European Commission｜The EU approach to age verification
• EUR-Lex｜Commission Recommendation (EU) 2026/1035
• W3C｜Verifiable Credentials 2.0
• W3C｜Verifiable Credentials Data Model 2.0
• ENISA｜Certification of EU Digital Wallets